Ameaças persistentes: lições de avaliações de comprometimento em 2025
No cenário atual de ameaças cibernéticas, a capacidade de detectar e responder a incidentes de segurança é um diferencial competitivo e uma necessidade operacional. O relatório recente da Kaspersky sobre avaliações de comprometimento em 2025 (Compromise Assessment Findings 2025) expõe uma realidade preocupante: incidentes graves passam despercebidos por meses ou até anos dentro das organizações. Este artigo analisa os principais achados e oferece orientações práticas para fortalecer sua postura de segurança, com foco especial em vazamentos de dados e na crescente ameaça do golpe do falso suporte técnico.
O cenário de comprometimentos persistentes: dados alarmantes
As avaliações de comprometimento conduzidas pela Kaspersky revelam que 30,8% dos incidentes descobertos em 2025 tinham atividade histórica superior a três meses, e o caso mais antigo remontava a quatro anos sem detecção. Esse dado é um indicador crítico de falhas nos controles de segurança e na capacidade de monitoramento contínuo. A análise setorial mostra que governo (29%), educação (19%) e finanças (17%) concentram a maioria dos incidentes, refletindo a atratividade desses setores para agentes maliciosos.
Um ponto central do relatório é a relação entre a maturidade da resposta a incidentes e a gravidade dos achados. Organizações que solicitaram avaliações após conter um incidente conhecido apresentaram a maior proporção de incidentes de alta severidade (40,7%), enquanto auditorias regulares reduziram significativamente esse número. Isso evidencia que a resposta a incidentes pontual não substitui uma avaliação abrangente, pois ameaças secundárias frequentemente permanecem ocultas.
Indicadores de comprometimento (IOCs) e detecção proativa
A detecção eficaz depende de indicadores de ataque (IoAs) de alta fidelidade. O relatório destaca três famílias de detecção que dominaram os incidentes em 2025:
- Credenciais em dumps: 12,4% dos incidentes – senhas e hashes vazados são um vetor primário de acesso.
- Ferramentas de "living-off-the-land" (LOTL): 11,2% – uso de binários legítimos do sistema para atividades maliciosas, como PowerShell e WMI.
- Famílias de malware específicas: 11,2% – malwares conhecidos que deveriam ter sido bloqueados por controles básicos.
Esses números reforçam a necessidade de uma estratégia de detecção baseada em comportamento, aliada a uma gestão robusta de vulnerabilidades. A ausência de alertas de alta confiança foi responsável por 60% dos incidentes não detectados, indicando que as ferramentas de segurança precisam ser configuradas e sintonizadas para o cenário de ameaças atual.
Tabela de riscos: severidade por tipo de engajamento
A tabela abaixo, adaptada do relatório, ilustra a distribuição de severidade dos incidentes conforme o motivo da avaliação de comprometimento:
| Motivo da avaliação | Alta severidade | Média severidade | Baixa severidade |
|---|---|---|---|
| Aquisição de empresa | 28,6% | 28,6% | 42,8% |
| Auditoria geral | 27,7% | 36,7% | 35,6% |
| Relatório para autoridade | 30% | 46,7% | 23,3% |
| Verificação pós-incidente | 40,7% | 25,9% | 33,4% |
Como se observa, a verificação pós-incidente apresenta o maior índice de alta severidade, confirmando que um incidente conhecido é frequentemente a ponta do iceberg. Muitas organizações subestimam a persistência de ameaças e a capacidade de atores maliciosos de manter acesso mesmo após ações de contenção.
O papel dos backups e ferramentas legítimas na perpetuação de ameaças
Um achado preocupante é que 40% dos web shells descobertos residiam em backups, sendo restaurados após as atividades de resposta a incidentes. Isso demonstra uma falha crítica nos processos de remediação: a limpeza deve se estender a todos os repositórios de dados, incluindo backups online e offline. Sem uma verificação completa, a organização corre o risco de reintroduzir o malware no ambiente.
Além disso, o uso de ferramentas de administração remota e binários LOTL foi identificado em 100% dos engajamentos que resultaram em detecção de incidentes. Ferramentas como AnyDesk, TeamViewer e PsExec são frequentemente abusadas por atacantes para manter persistência e se movimentar lateralmente. A recomendação é clara: monitore e restrinja o uso dessas ferramentas com políticas de aplicação rigorosas.
Golpe do falso suporte técnico: uma ameaça que explora a confiança
Conectando-se organicamente ao tema de ameaças persistentes, o golpe do falso suporte técnico é um vetor de ataque que frequentemente leva a comprometimentos de longo prazo. Nesse golpe, criminosos se passam por técnicos de empresas renomadas, induzindo vítimas a instalar softwares de acesso remoto sob o pretexto de resolver problemas inexistentes. Uma vez conectados, eles podem exfiltrar dados, instalar malware ou até mesmo manter acesso silencioso por meses.
Esse tipo de ataque está diretamente alinhado com os achados do relatório: o abuso de ferramentas legítimas de acesso remoto é uma das principais técnicas de "living-off-the-land". Para se proteger, as organizações devem:
- Educar os usuários: realizar treinamentos regulares sobre engenharia social, destacando que empresas legítimas nunca iniciam contato proativo para suporte técnico não solicitado.
- Implementar controles técnicos: usar listas de permissão de aplicações para restringir a execução de ferramentas de acesso remoto apenas a entidades autorizadas.
- Monitorar sessões remotas: registrar e auditar todas as sessões de assistência remota, buscando por anomalias como conexões fora do horário comercial ou de IPs suspeitos.
- Estabelecer um processo de verificação: orientar os funcionários a desligar e contatar a equipe de TI interna por canais oficiais sempre que receberem uma chamada de suporte não solicitada.
Maturidade de resposta a incidentes e monitoramento contínuo
O relatório da Kaspersky enfatiza que ferramentas de monitoramento não são autossuficientes. Organizações com capacidades internas de engenharia reversa de malware tiveram raríssimos incidentes de alta severidade, enquanto a falta de monitoramento contínuo e caça proativa a ameaças elevou a probabilidade de incidentes graves para 84-86%.
Isso reforça a importância de investir em pessoas e processos, não apenas em tecnologia. Um Security Operations Center (SOC) bem estruturado, com analistas capazes de investigar alertas de baixa confiança, é essencial. Além disso, a atualização contínua dos playbooks de resposta a incidentes é mandatória: o plano de resposta deve ser um documento vivo, ajustado a cada nova descoberta.
Vazamentos de dados: a consequência final
Muitos dos incidentes não detectados culminam em vazamentos de dados. Credenciais expostas em dumps, informações corporativas vendidas na dark web e dados de clientes comprometidos são resultados diretos de comprometimentos persistentes. A Kzarka oferece uma plataforma de monitoramento de vazamentos de dados que permite às organizações e indivíduos verificarem se suas informações foram expostas, possibilitando uma ação rápida antes que danos maiores ocorram.
A proteção contra roubo de identidade digital começa com a visibilidade. Saber quais dados seus estão circulando em fóruns clandestinos é o primeiro passo para mitigar riscos. A Kzarka monitora continuamente fontes de vazamentos e alerta sobre exposições, ajudando a reduzir a janela de oportunidade para criminosos.
Conclusão e recomendações práticas
Os achados das avaliações de comprometimento de 2025 são um chamado à ação para organizações de todos os portes. A persistência de ameaças não detectadas por anos, o abuso de ferramentas legítimas e a ineficácia de respostas pontuais demonstram que a segurança precisa ser contínua e adaptativa. Algumas recomendações-chave incluem:
- Realizar avaliações de comprometimento periódicas, mesmo na ausência de incidentes conhecidos.
- Implementar monitoramento comportamental e detecção baseada em IoAs.
- Reforçar a gestão de vulnerabilidades e a aplicação de patches.
- Educar os usuários sobre ameaças como o golpe do falso suporte técnico.
- Estender a remediação a todos os backups e repositórios de dados.
- Investir em equipes de caça a ameaças e resposta a incidentes.
Não espere que um incidente se torne um vazamento de dados para agir. Visite a Kzarka e verifique agora se seus dados foram comprometidos. Monitore sua identidade digital e proteja-se contra as ameaças que persistem nas sombras.
Perguntas Frequentes (FAQ)
O que é uma avaliação de comprometimento?
É um serviço especializado que examina se uma rede foi comprometida, combinando inteligência de ameaças, varredura de endpoints, análise de logs e investigação forense para identificar incidentes ativos ou passados.
Por que incidentes graves passam despercebidos por tanto tempo?
Falta de monitoramento contínuo, alertas mal configurados, uso de ferramentas legítimas por atacantes e ausência de caça proativa a ameaças são as principais causas. O relatório mostrou que 60% dos incidentes não geraram alertas de alta confiança.
Como o golpe do falso suporte técnico se relaciona com ameaças persistentes?
Esse golpe frequentemente usa ferramentas de acesso remoto legítimas, que são abusadas para manter persistência e exfiltrar dados ao longo do tempo, alinhando-se com as técnicas de "living-off-the-land" destacadas no relatório.
Qual a importância de monitorar backups em uma resposta a incidentes?
Web shells e malwares podem residir em backups e ser restaurados acidentalmente, reinfectando o ambiente. A limpeza deve abranger todos os repositórios de dados.
Como posso saber se meus dados vazaram?
Plataformas como a Kzarka monitoram fontes de vazamentos e alertam sobre exposições de credenciais e informações pessoais, permitindo uma ação rápida para mitigar danos.
Qual a diferença entre resposta a incidentes e avaliação de comprometimento?
A resposta a incidentes foca em conter e remediar um incidente conhecido, enquanto a avaliação de comprometimento busca identificar quaisquer ameaças presentes na rede, incluindo aquelas não relacionadas ao incidente inicial.